云上攻防体系介绍-公有云攻击面介绍

一、总体框架（先把地图画清楚）

公有云攻击面大致可以分成两大类：

• 针对租户（Tenant）的攻击 —— 攻击目标是你在云上租的资源（虚拟机、容器、存储桶、函数等）。

• 针对云平台本身的攻击 —— 攻击目标是云厂商或云平台的组件/服务（例如文件处理服务、消息队列、编排/监控系统、虚拟化层等），目的是影响更多租户或取得更高权限。

两类的区别在于攻击目标与影响范围：
租户攻击通常影响单个客户或业务；平台攻击可能影响大量租户或胁迫整个平台。

---

二、针对租户的常见攻击面（按条目讲清楚）

1. 传统 Web 漏洞（仍然是主战场）

• 例子：SQL 注入、文件上传漏洞、弱口令、跨站脚本（XSS）、SSRF 等。

• 怎么利用：例如 SQL 注入能直接读写数据库；文件上传可写 webshell；弱口令可暴力拿到登陆。

• 防护：输入校验/参数化查询（防注入）、文件类型和后缀严格校验、密码策略+多因子认证（MFA）、WAF+日志监控。

---

2. AccessKey / 凭证泄露（云的“万能钥匙”问题）

• 是什么：AccessKey、Secret、ServiceAccount Token 等是访问云 API 的凭证。泄露就等于别人拿到你家的门禁卡。

• 风险：拿到后可直接调用云 API —— 列出/改写 bucket、起/停实例、拿到更多凭证。

• 常见泄露途径：源码泄露（Git 中误提交）、CI/CD